Web服务器安全，最大坑就是装好之后直接使用默认配置上线。默认配置目标只是保证服务能跑，不是抵御攻击。Nginx、Apache、IIS出厂自带不少无用功能，这些功能刚好是扫描器优先探测的漏洞入口。
先说信息泄露问题。默认错误页面会暴露服务器软件名称、版本号，甚至操作系统信息。相当于在门口贴纸条，告知攻击者系统版本与已知漏洞。Nginx添加server_tokens off，或是直接修改Server响应头，避免扫描器识别版本。Apache把ServerSignature设置Off；IIS开启自定义错误页面，外网用户不能查看详细错误信息。生产环境全部关闭调试信息，堆栈、数据库连接字符串绝对不能暴露浏览器。
接着是请求方法限制。绝大多数网站只需要GET、POST、HEAD。PUT、DELETE、TRACE、OPTIONS这类方法，不用就直接禁用。TRACE可以用来实现跨站追踪攻击，必须关闭。Nginx用limit_except配置块控制；Apache依靠Limit、LimitExcept指令；IIS在请求筛选删除不需要谓词。操作不难，但很多人忽略。
文件权限是高发隐患。Web目录属主不要设root，也不要和Web服务运行账号一致。理想方案，文件属主和Web运行用户分离，目录权限755，文件644。上传目录单独处理，禁止执行权限。上传目录如果可以解析PHP，等同于留给攻击者后门。Nginx配置location拦截上传目录php解析；Apache用RemoveHandler或者.htaccess限制。数据库配置文件、备份文件、.git目录、.env文件，不要放在Web根目录。放在根目录之外，或者配置规则拒绝访问。
TLS配置方面，到2026年TLS1.0、1.1都该淘汰，底线TLS1.2，优先TLS1.3。加密套件避开RC4、3DES这类弱算法，选用ECDHE开头支持前向保密的套件。HSTS开启前，确认所有子域名全部切换HTTPS，再启用includeSubDomains，不然会导致未HTTPS子域名无法访问。证书到期记得续期，Let’s Encrypt证书有效期90天，自动续脚本要持续监控，续期失败需要告警。
安全响应头属于低成本高收益手段。Content-Security-Policy防范XSS；X-Content-Type-Options: nosniff阻止MIME嗅探；X-Frame-Options或者frame-ancestors抵御点击劫持；Referrer-Policy控制referer泄露。Nginx通过add_header添加，Apache用Header set，IIS配置自定义HTTP响应头。CSP初次配置容易造成页面异常，可以先用Content-Security-Policy-Report-Only收集违规日志，逐步收紧规则。
访问控制与限流，抵御攻击基础。管理后台不要对公网开放，优先VPN访问；无法VPN至少配置IP白名单。Nginx limit_req、limit_conn拦截高频暴力请求；Apache mod_evasive、mod_qos实现同类能力。登录接口单独限流，多次失败直接封禁IP一段时间。CC攻击特征是单IP或者IP段高频访问特定页面，限流规则针对这个特征编写，不要一刀切拦截正常访客。
日志和监控，用于事后溯源，也可以提前预警。访问日志用来识别异常行为，比如短时间大量请求不存在页面，URL参数携带可疑字符。部署fail2ban读取日志，检测异常自动封IP。日志文件本身做好保护，防止攻击者入侵之后清除日志。远程syslog或者日志服务器是好方案，本地留存一份，远端备份一份。
配置管理遵循几条原则。所有配置变更走版本控制，Git、SVN都行，记录修改人、修改时间、改动内容。修改前备份，测试环境验证完成再上线生产。配置内敏感信息，数据库密码、API密钥不要明文写入，改用环境变量或者密钥管理服务。多台服务器保持配置统一，避免部分机器配置不同，故障排查增加工作量。
最后，不要加载多余模块。Web服务器只启用业务必需模块，PHP、Python模块和各类第三方扩展，不用就关闭。每多一个模块，就多一处潜在漏洞入口。定期查看安全公告，高危漏洞及时打补丁。安全不存在一劳永逸，靠一系列小习惯累积。单项配置难度不高，难在所有服务器、每次变更都保持落实。